개인정보의 안전성 확보조치 기준 안내서 발간

개인정보의 안전성 확보조치 기준은 기업, 공공기관 등의 개인정보처리자가 개인정보를 안전하게 관리하기 위해 취해야 하는 기술적·관리적·물리적 보호조치를 규정하고 있는 기준입니다. 개인정보 처리자라면 개인정보보호 관련 규정을 완벽하게 이해하여 실무에 적용해야 하지만 부가적인 설명 없이는 이해하기 어려운 경우가 많습니다. 개인정보보호위원회에서는 안전성 확보조치 기준 안내서를 발간하여 보다 쉽게 해석하고 이해할 수 있도록 돕고 있습니다.

또한 이전에는 정보통신서비스 제공자는 개인정보의 기술적·관리적 보호조치 기준을 적용받고, 그 외 개인정보 처리자는 개인정보의 안전성 확보조치 기준을 적용받았습니다. 그러나 지난해 9월 개인정보보호법 개정으로 인해 법령의 대상이 모든 개인정보처리자로 통일됨에 따라 개인정보의 기술적·관리적 보호조치 기준이 폐지되고 개인정보의 안전성 확보조치 기준(행정 규칙)으로 통합되었습니다. 통합으로 인해 기존 두가지 법령을 숙지해야 했던 개인정보처리자들은 일원화된 법령으로 보다 쉽고 명확하게 보호 조치 기준을 이해할 수 있게 되었습니다.

개인정보의 안전성 확보조치 기준 안내서

① 개인정보처리자는 개인정보처리시스템에 대한 접근 권한을 개인정보 취급자에게만 업무 수행에 필요한 최소한의 범위로 차등 부여하여야 한다.

*개인정보의 안전성 확보조치기준 해설*

개인정보의 안전성 확보조치 기준 제5조에 따르면, 개인정보처리시스템에 대한 접근 권한은 개인정보를 처리하는 개인정보취급자에게만 부여하여야 합니다. 권한을 차등화 한다는 것은 업무를 수행하기 위한 권한을 등급별로 나누어 개별적으로 접근 권한을 부여하는 것을 말합니다.

② 개인정보처리자는 개인정보취급자 또는 개인정보취급자의 업무가 변경되었을 경우 지체없이 개인정보처리시스템의 접근권한을 변경 또는 말소하여야 한다.

*개인정보의 안전성 확보조치기준 해설*

개인정보취급자의 퇴직, 휴직, 인사이동이 발생하여 개인정보취급자가 변경되었을 경우에는 지체없이 계정 또는 접근권한을 변경·회수하는 등의 필요한 조치를 하여야 합니다. 또한 조직변경 등으로 인해 개인정보취급자의 업무가 변경되었을 경우에도 접근 권한을 회수하는 등의 조치가 필요합니다.

③ 개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다.

*개인정보의 안전성 확보조치기준 해설*

제1항 및 제2항에 의한 접근 권한 부여, 접근 권한 변경, 말소시에는 접근권한의 발급 과정과 이력 등을 확인할 수 있는 정보를 포함하여 기록하여야 합니다.

④ 개인정보처리자는 개인정보처리시스템에 접근할 수 있는 계정을 발급하는 경우 정당한 사유가 없는 한 개인정보취급자별로 계정을 발급하고 다른 개인정보취급자와 공유하지 않도록하여야 한다.

*개인정보의 안전성 확보조치기준 해설*

‘정당한 사유’란 기술적으로 계정의 개별 발급이 불가능한 경우를 말합니다. 그러나 이러한 경우에도 접근제어 시스템 도입 등 기술적 통제를 적용하여 실제 개인정보처리시스템에 접속한 자를 식별할 수 있어야 합니다. 또한 다수의 개인정보취급자가 하나의 계정을 공유하지 않도록 취급자별로 계정을 발급하여 사용하여야 하며, 개인정보 처리내역에 대한 책임추적성을 확보해야 합니다.

⑤ 개인정보처리자는 개인정보취급자 또는 정보주체의 인증수단을 안전하게 적용하고 관리하여야 한다.

*개인정보의 안전성 확보조치기준 해설*

개인정보처리자는 환경에 맞는 인증수단을 적용하여 개인정보취급자 또는 정보주체를 인증하여야 합니다. 여기서 인증수단은 개인정보보호를 위해 필요한 개인정보처리시스템, 접근통제시스템 등에 적용하여야 하며, 비인가자가 접근할 수 없도록 관리하여야 합니다. 인증수단의 예시로는 비밀번호, 일회용 비밀번호(OTP), 생체인증 등이 있습니다.

⑥ 개인정보처리자는 정당한 권한을 가진 개인정보취급자 또는 정보주체만이 개인정보처리시스템에 접근할 수 있도록 일정 횟수 이상 인증에 실패한 경우 개인정보처리시스템에 대한접근을 제한하는 등 필요한 조치를 하여야 한다.

*개인정보의 안전성 확보조치기준 해설*

개인정보처리자는 권한이 없는 자의 접근을 방지하기 위해 인증에 실패한 경우 접근을 제한하는 조치를 취해야 하며, 인증 실패 횟수는 개인정보처리시스템의 특성 등을 고려하여 정할 수 있습니다. 인증에 실패하여 접근이 제한된 이후 접근을 재부여하는 경우에는 타당 여부를 확인한 후 재부여해야 합니다.

① 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음 각호의 안전조치를 하여야 한다.

1. 개인정보처리시스템에 대한 접속 권한을 인터넷 프로토콜(IP) 주소 등으로 제한하여 인가받지 않은 접근을 제한

2. 개인정보처리시스템에 접속한 인터넷 프로토콜(IP) 주소 등을 분석하여 개인정보 유출시도 탐지 및 대응

*개인정보의 안전성 확보조치기준 해설*

여기서 말하는 IP주소에는 IP주소, 포트 그 자체뿐만 아니라 이상행위(과도한 접속성공 및 실패, 부적절한 명령어 등 패킷)을 포함합니다. 불법적인 접근 및 침해사고 방지를 위해서는 침입차단 및 침입차단 기능을 포함하는 안전조치를 실시해야 하며, 개인정보처리시스템에 접속한 이상행위 대응, 로그 훼손 방지 등의 관리가 필요합니다.

④ 개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지를 위하여개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 접속이 차단되게하는 등 필요한 조치를 하여야 한다.

*개인정보의 안전성 확보조치기준 해설*

접속차단이란 개인정보처리시스템의 연결이 완전히 차단되어 정보의 송수신이 불가능한 상태를 뜻하며, 컴퓨터의 화면보호기 등은 접속차단에 해당하지 않습니다. 또한 개인정보처리시스템에 다시 접속할 때의 방법·절차는 처음 차단되었을때의 방법·절차와 동일한 수준 이상이 되도록 조치를 취해야 합니다.

① 개인정보처리자는 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관·관리하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 2년 이상 보관·관리하여야 한다.

1. 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우

2. 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우

3. 개인정보처리자로서 「전기통신사업법」제6조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우

*개인정보의 안전성 확보조치기준 해설*

고유식별정보란 주민등록번호, 여권번호, 운전면허번호 등 개인을 고유하게 구별하기 위하여 부여된 식별정보를 뜻합니다.

민감정보란 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서, 다음 정보를 가리킵니다. 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보 혹은 유전정보, 범죄경력자료, 생체인식정보, 인종·민족에 관한 정보 접속기록에는 식별자, 접속일지, 접속지 정보 등을 모두 기록하며, 정보주체의 민감정보나 개인정보가 저장되지 않게 하고, 필요시 암호화 조치를 취해야 합니다.

② 개인정보처리자는 개인정보의 오·남용, 분실·도난·유출·위조·변조 또는 훼손 등에 대응하기위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보의 다운로드가 확인된 경우에는 내부 관리계획 등으로 정하는 바에 따라 그 사유를 반드시확인하여야 한다.

*개인정보의 안전성 확보조치기준 해설*

개인정보처리자는 점검 시 비인가된 개인정보 처리 등 비정상행위를 탐지하고 적절한 대응조치를 취해야 합니다. 특히 개인정보처리시스템에서 비정상적인 목적으로 개인정보를 다운로드한 것을 확인한 경우, 지체 없이 회수하여 파기하여야 합니다.

③ 개인정보처리자는 접속기록이 위·변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하기 위한 조치를 하여야 한다.

*개인정보의 안전성 확보조치기준 해설*

개인정보처리자는 접속기록을 안전하게 관리하기 위해 상시 백업을 수행하거나, 접속기록 위·변조 방지 기술을 적용하는 등의 보호조치를 취해야 합니다. 특히 개인정보처리시스템의 접속기록이 수정, 삭제되지 않도록 접근권한을 제한해야 합니다.

해당 내용들은 개인정보의 안전성 확보조치기준 중 신시웨이의 DB접근제어 솔루션 페트라(PETRA)를 통해 대응할 수 있는 조항입니다. DB접근제어 솔루션 페트라(PETRA)는 데이터가 유출되거나 훼손하는 것을 방지하기 위해 권한이 있는 대상에게만 데이터에 접근할 수 있도록 통제, 관리하는 솔루션입니다. DB에 대한 접근 통제와 로그인 및 SQL수행 내역에 대한 로깅을 통해 DB접근통제를 제공하며, 자체 개발한 DBMS를 통해 빠른 규칙처리가 가능합니다.

① 개인정보처리자는 비밀번호, 생체인식정보 등 인증정보를 저장 또는 정보통신망을 통하여 송·수신하는 경우에 이를 안전한 암호 알고리즘으로 암호화하여야 한다. 다만, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.

② 개인정보처리자는 다음 각 호의 해당하는 이용자의 개인정보에 대해서는 안전한 암호 알고리즘으로 암호화하여 저장하여야 한다.

1. 주민등록번호

2. 여권번호

3. 운전면허번호

4. 외국인등록번호

5. 신용카드번호

6. 계좌번호

7. 생체인식정보

*개인정보의 안전성 확보조치기준 해설*

‘인증정보’란 비밀번호, 생체인식정보 등 개인정보처리시스템에 접속을 요청하는자의 신원을 검증하는 데 사용되는 정보를 뜻합니다.

‘일방향 암호화’는 비밀번호를 평문형태가 아닌 해시함수 등을 통해 비가역적으로 암호화한 값으로 저장하는 것을 말합니다.

‘정보통신망’은 내부망과 외부망을 포함한 모든 통신망을 의미하므로, 내부망에서 인증정보를 송수신하는 경우에도 안전한 암호 알고리즘으로 암호화하여야 합니다.

③ 개인정보처리자는 이용자가 아닌 정보주체의 개인정보를 다음 각 호와 같이 저장하는 경우에는 암호화하여야 한다.

1. 인터넷망 구간 및 인터넷망 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone)에 고유식별정보를 저장하는 경우

2. 내부망에 고유식별정보를 저장하는 경우(다만, 주민등록번호 외의 고유식별정보를 저장하는 경우에는 다음 각 목의 기준에 따라 암호화의 적용여부 및 적용범위를 정하여 시행할 수 있다)

가. 법 제33조에 따른 개인정보 영향평가의 대상이 되는 공공기관의 경우에는 해당 개인정보 영향평가의 결과

나. 암호화 미적용시 위험도 분석에 따른 결과

*개인정보의 안전성 확보조치기준 해설*

인터넷 영역은 개인정보처리시스템과 인터넷이 직접 연결되어있는 구간을 의미하며, DMZ영역은 인터넷망 구간과 내부망 사이에 위치한 지점이며, 내부망은 인터넷구간에서의 접근이 통제되는 구간을 의미합니다.

DMZ구간에 주민등록번호, 운전면허번호 등 고유식별정보를 저장하는 경우와 비밀번호 및 생체인식 정보를 저장하는 경우에는 암호화하여 저장하여야 합니다.

주민등록번호는 내부망에 저장할 경우에도 ‘개인정보 영향평가‘나 ‘위험도 분석’의 결과에 관계없이 암호화하여야 합니다.

⑥ 10만명 이상의 정보주체에 관하여 개인정보를 처리하는 대기업·중견기업·공공기관 또는100만명 이상의 정보주체에 관하여 개인정보를 처리하는 중소기업·단체에 해당하는 개인정보처리자는 암호화된 개인정보를 안전하게 보관하기 위하여 안전한 암호 키 생성, 이용, 보관, 배포 및 파기 등에 관한 절차를 수립·시행하여야 한다.

*개인정보의 안전성 확보조치기준 해설*

암호 키는 암호화된 데이터를 복호화할 수 있는 정보이므로 암호 키의 안전한 사용과 관리는 매우 중요하며, 라이프사이클 단계별 암호 키 관리 절차를 수립·시행하여야 합니다.

해당 내용들은 개인정보의 안전성 확보조치기준 중 신시웨이의 DB암호화 솔루션 페트라사이퍼(PETRA CIPHER)를 통해 대응할 수 있는 조항입니다.DB암호화 솔루션 페트라사이퍼(PETRA CIPHER)는 국내 최초로 DB암호화 CC인증을 취득한 솔루션으로, 개인정보를 다양한 방식으로 암호화하여 안전하게 보호하고 이를 통해 기업의 법적 신뢰수준을 향상시킬 수 있는 솔루션입니다. 다양한 금융·공공기관에서 우수한 성능을 입증받았으며, 키서버 3중화·중복암호화 방지 등 고도화된 기술을 통해 안정적인 서비스를 지원합니다.

개인정보의 안전성 확보조치 기준은 개인정보를 보유한 기업·기관이라면 반드시 지켜야 하는 기준이지만, 실제로 개인정보 위반 사례 중 안전조치 의무 위반 행위가 높은 비율을 차지한다고 합니다. 수많은 개인정보를 보유한 기업 혹은 개인정보 처리자들은 개인정보를 안전하게 보관·점검하여야 합니다. 따라서 개인정보보호위원회에서 발간한 개인정보 안전성 확보조치 기준 안내서를 통해 어려운 법령을 쉽게 이해하고, 개인정보를 보다 안전하게 관리할 수 있는 방안과 시스템을 구축할 수 있습니다.

출처 및 참고자료

개인정보보호위원회, 개인정보의 안전성 확보조치 기준 안내서